Trabalhar com tarefas de incidentes no Microsoft Sentinel

  • Artigo

Este artigo explica como os analistas do SOC podem usar tarefas de incidentes para gerenciar seus processos de fluxo de trabalho de tratamento de incidentes no Microsoft Sentinel.

As tarefas de incidente normalmente são criadas automaticamente por regras de automação ou guias estratégicos configurados por analistas seniores ou gerentes do SOC, mas analistas de camada inferior podem criar suas próprias tarefas no local, manualmente, diretamente de dentro do incidente.

Você pode visualizar a lista de tarefas que precisa executar para um incidente específico na página de detalhes do incidente e marcá-las concluídas à medida que avança.

Casos de uso para funções diferentes

Este artigo aborda os seguintes cenários, que se aplicam aos analistas do SOC:

Outros artigos nos seguintes links abordam cenários que se aplicam mais a gerentes do SOC, analistas seniores e engenheiros de automação:

Pré-requisitos

A função de Respondente do Microsoft Sentinel é necessária para criar regras de automação e exibir e editar incidentes, ambos necessários para adicionar, exibir e editar tarefas.

Exibir e seguir tarefas de incidentes

  1. Na página Incidentes, selecione um incidente na lista e selecione Exibir detalhes completos em Tarefas no painel de detalhes ou selecione Exibir detalhes completos na parte inferior do painel de detalhes.

    Screenshot of link to enter the tasks panel from the incident info panel on the main incidents screen.

  2. Se você optou por inserir a página de detalhes completos, selecione Tarefas na faixa superior.

    Screenshot shows incident details screen with tasks panel open.

  3. O painel Tarefas de incidente será aberto no lado direito da tela em que você estava (a página principal de incidentes ou a página de detalhes do incidente). Você verá a lista de tarefas definidas para esse incidente, juntamente com como ou por quem ele foi criado, seja manualmente ou por uma regra de automação ou um guia estratégico.

    Screenshot shows incident tasks panel as seen from incident details page.

  4. As tarefas que têm descrições serão marcadas com uma seta de expansão. Expanda uma tarefa para visualizar sua descrição completa.

    Screenshot shows incident tasks panel with expanded task descriptions.

  5. Marque uma tarefa concluída marcando o círculo ao lado do nome da tarefa. Uma marca de seleção aparecerá no círculo e o texto da tarefa ficará esmaecido. Confira o exemplo "Redefinir senha do usuário" nas capturas de tela acima.

Adicionar manualmente uma tarefa ad hoc a um incidente

Você também pode adicionar tarefas para si mesmo, no local, à lista de tarefas de um incidente. Essa tarefa se aplicará somente ao incidente aberto. Isso ajuda se sua investigação o leva a novas direções e você pensa em coisas novas que precisa verificar. Adicioná-las como tarefas garante que você não se esqueça de fazê-las e que haverá um registro do que você fez, do qual outros analistas e gerentes podem se beneficiar.

  1. Selecione + Adicionar tarefa na parte superior do painel Tarefas de incidente.

    Screenshot shows how to manually add a task to your task list.

  2. Insira um Título para sua tarefa e uma Descrição, se você escolher.

    Screenshot shows how to add a title and description to your task.

  3. Selecione Salvar ao terminar.

    Screenshot shows how to finish defining and save your task.

  4. Consulte sua nova tarefa na parte inferior da lista de tarefas. Observe que as tarefas criadas manualmente têm uma faixa de cores diferente na borda esquerda e que seu nome aparece como Criado por: sob o título e a descrição da tarefa.

    Screenshot showing your new task at the end of the task list.

Próximas etapas